Come controllare Servizi Desktop remoto e RDP nel Visualizzatore eventi

Senza un approccio strutturato al monitoraggio e alla revisione delle sessioni desktop remoto, gli accessi sospetti possono passare inosservati, generando flussi di lavoro di audit laboriosi e lacune nella conformità. Questa guida spiega come raccogliere e analizzare i registri eventi di Windows relativi a RDP tramite il Visualizzatore eventi, aiutando i team a individuare attività sospette e a soddisfare i requisiti di audit.

Processo in 5 fasi per esaminare i log RDP

Prima di iniziare, assicurati di disporre dell’accesso amministrativo, delle policy di audit avanzate abilitate e di una posizione centralizzata in cui archiviare i log RDP esportati.

Prerequisiti per interrogare i log RDP

• Diritti amministrativi locali o di dominio per abilitare e interrogare i log RDP.
• Criteri di controllo avanzati configurati per registrare gli eventi di accesso e disconnessione nella categoria di controllo Accesso/Disconnessione.
• Log operativi di TerminalServices‑RemoteConnectionManager e TerminalServices‑LocalSessionManager abilitati nel Visualizzatore eventi.
• Un raccoglitore di log centralizzato, un SIEM o una posizione di rete condivisa in cui archiviare i file di log RDP esportati.

Su ogni endpoint ti servirà anche PowerShell (o un motore di scripting equivalente) per l’estrazione automatizzata dei log. Chiarito questo, puoi passare al flusso di lavoro consigliato qui sotto.

1. Individua i log RDP e Servizi Desktop remoto principali

I registri eventi contengono un’enorme quantità di dati: elimina il rumore di fondo e individua i log e gli ID evento specifici che registrano l’attività RDP.

Concentrati sugli ID evento principali: 1149 (connessione riuscita), 4624/4625 (accesso riuscito/non riuscito), 4634/4647 (disconnessione), 21, 22, 24, 25 (ciclo di vita della sessione) e 4778/4779 (riconnessione/disconnessione).

Infine, verifica che i Criteri di controllo avanzati registrino gli eventi di accesso e disconnessione nel registro di sicurezza e annota i percorsi dei log e gli ID in un documento di riferimento, così da consultarli rapidamente durante le indagini e la creazione degli avvisi.

2. Interroga ed esporta gli eventi con PowerShell

Puoi eseguire Get‑WinEvent per estrarre gli ID evento e i log desiderati, quindi inviare l’output a Export‑Csv per salvare i risultati in un file CSV a fini di analisi o reporting. Puoi consultare i parametri di Get-WinEvent per costruire uno script personalizzato adatto a qualsiasi attività.

Se sei un utente NinjaOne, puoi anche dare un’occhiata allo script già pronto per visualizzare i registri eventi con PowerShell. Lo script consente di escludere ID evento specifici e di filtrare gli eventi in base al contenuto del messaggio, offrendo ampie possibilità di personalizzazione.

3. Definisci baseline e regole di avviso

Definendo baseline realistiche e concentrandoti solo sull’attività RDP anomala, puoi individuare e diagnosticare in modo efficiente gli attacchi più comuni, come il credential stuffing, i tentativi di forza bruta o i movimenti laterali. Ecco alcuni esempi pratici di regole di avviso che puoi implementare fin da subito.

Definisci il comportamento RDP normale

Individua gli utenti tipici, gli orari di accesso abituali e gli intervalli di IP di origine previsti per ciascun sistema, e registra le metriche di riferimento, come il numero medio di connessioni giornaliere e gli orari di punta degli accessi.

Crea avvisi basati sulle anomalie

Per isolare ulteriormente le attività sospette, imposta soglie che si attivino in presenza di > 5 eventi di accesso non riuscito (4625) dallo stesso IP in 10 minuti, di connessioni RDP riuscite (1149) fuori dall’orario di lavoro e di sequenze rapide di disconnessione/riconnessione (24 → 25) con cambio dell’IP del client.

Implementa gli avvisi nella tua piattaforma di monitoraggio

Configura il tuo SIEM o le policy di avviso di NinjaOne per monitorare l’attività legata a RDP direttamente dagli endpoint gestiti. In NinjaOne puoi creare condizioni di avviso personalizzate basate su ID evento specifici o su metriche di sistema rilevate dall’agente, e definire i canali di notifica più adatti (email, gestione dei ticket, SMS o integrazioni come Slack).

Con il tempo, affina le soglie di avviso per ridurre i falsi positivi, adattando condizioni ed esclusioni man mano che osservi i modelli di utilizzo normali e le finestre di manutenzione. Esamina regolarmente gli avvisi attivati e aggiorna regole e baseline per riflettere i cambiamenti nei modelli di utilizzo e nell’infrastruttura.

4. Estendi la conservazione e aumenta la capacità dei log

È facile dimenticare che le dimensioni predefinite dei registri eventi sono spesso troppo ridotte per le query di indagine.

Per configurare la dimensione predefinita del log, usa il comando wevtutil in un Prompt dei comandi con privilegi elevati. Esegui wevtutil sl (sl = set-log, modifica la configurazione del log) con il parametro /ms (dimensione massima, espressa in byte) per modificare la configurazione di un log specifico (ad esempio, wevtutil sl <logname> /ms:<bytes>)

Secondo Microsoft, la dimensione minima del log è 1048576 byte (1024 KB) e i file di log sono sempre multipli di 64 KB, quindi qualsiasi valore inserito viene arrotondato di conseguenza. Le modifiche hanno effetto immediato e restano attive anche dopo il riavvio.

Il parametro /rt:<Retention>, invece, può essere impostato su true o false (ad esempio, /rt:true). Impostandolo su true, il sistema smette di registrare eventi quando i log raggiungono la capacità massima. In questa configurazione i dati devono essere cancellati manualmente.

Scegliendo false, il sistema sovrascrive gli eventi più vecchi quando necessario.

Nota: se la modalità di conservazione del registro eventi è impostata su true e il log raggiunge la dimensione massima, Windows mantiene gli eventi esistenti e scarta i nuovi eventi in arrivo. Per evitare di perdere involontariamente dati importanti di sicurezza o di audit, valuta di aumentare la capacità dei log e di usare le impostazioni di sovrascrittura quando è necessaria una registrazione continua.

5. Correla l’attività RDP e genera report

Collega gli eventi RDP raccolti ai dati su utenti, dispositivi e indirizzi IP per trasformare i log grezzi in informazioni utili e in documentazione pronta per l’audit. In questo modo puoi creare un report settimanale che mostri connessioni riuscite, tentativi non riusciti, accessi fuori orario e origini client univoche.

Ecco una guida complementare su come automatizzare la registrazione degli eventi per diversi ambienti o clienti.

Strategie di monitoraggio RDP con NinjaOne

NinjaOne può colmare le lacune del tuo processo di monitoraggio RDP automatizzando la distribuzione delle policy di audit e la creazione degli avvisi, offrendoti una visibilità affidabile e verificabile su ogni sessione desktop remoto.

La libreria di script di NinjaOne e la gamma di strumenti per la gestione delle policy ti permettono inoltre di gestire centralmente i log RDP con un intervento manuale minimo, garantendo una copertura di sicurezza più coerente e liberando risorse preziose all’interno del tuo stack IT.

Argomenti correlati:

• Best practice per l’accesso remoto per MSP e professionisti IT
• Visualizzazione dei report sui dettagli di sistema [per utenti NinjaOne]
• Come eliminare la cronologia delle connessioni Desktop remoto in Windows
• Come automatizzare il monitoraggio dei registri eventi di Windows su più clienti
• Guida completa all’uso di PowerShell per ricerche efficienti nei registri eventi [Script Hub]